Identity 身份 AIops

要解决什么问题

自托管身份提供商（IdP）上的运维往往散落在 Admin Console、REST 与各家 API 之间。登录失败潮、账户锁定、OAuth 客户端配置不合规、MFA 覆盖缺口——这些场景需要可核对的数据和可追责的变更，而不是黑盒结论或磁盘上的明文密钥。

Identity AIops 面向 Keycloak（/admin/realms/{realm}/...）与 authentik（/api/v3/...）两套 API，用同一套工具面做只读盘点与受治理的写操作；通过 platform 字段切换目标形态，一份配置可覆盖混合环境。

技能如何工作

• 29 个 MCP 工具：覆盖 realm 概览、用户/组/会话、登录与管理事件、OAuth 客户端，以及四项「旗舰」只读分析（login_failure_rca、stale_access_audit、client_misconfig_audit、mfa_coverage_analysis）。分析输出带数字与分层结论（如密码喷洒、单账户撞库、客户端误配、过期凭证风暴等），不是单一判决。
• 治理 harness（包内 identity_aiops.governance）：每次 MCP/CLI 调用写入 ~/.identity-aiops/ 下的统一审计；含策略引擎、token/失控预算防护、undo 记录与风险等级标注。Keycloak client secret / authentik API token 经 Fernet + scrypt 加密存于 secrets.enc，不以明文落盘。
• 典型闭环：先 RCA 或只读快照定位问题 → CLI 写操作（支持 --dry-run 与二次确认）→ undo_list / undo_apply 回放可逆变更。disable_user 等可逆；revoke_user_sessions、rotate_client_secret 不可逆（密钥仅掩码记录）。

适用边界与注意点

• 仅适用于 Keycloak / authentik；Okta、Entra ID、Auth0 等云 IdP 不在范围。虚拟机、存储、K8s、防火墙等非身份平台应路由到 AIops-tools 家族中的其它技能。
• 技能记录审计与 before-state，不代替你判断是否允许写入；权限仍取决于所连服务账号/令牌范围。高风险写（如 enable_user、update_client_redirect_uris、rotate_client_secret）在审计行上标为 high，CLI 侧需审慎确认；误封账户后重新启用同样属高风险操作。
• 社区维护开源项目，与 Keycloak、Red Hat、Authentik 官方无隶属或背书关系。